Russian OSINT

🤖 Роскомнадзор внедряет механизм 📖фильтрации интернет‑трафика с применением алгоритмов машинного обучения

Как сообщает Forbes, на эти цели ведомство направило 2,27 млрд рублей, следует из паспорта программы цифровой трансформации на 2026-2028 годы. Технология интегрируется в автоматизированную систему обеспечения безопасности российского сегмента интернета (АСБИ) и дополняет работу технических средств противодействия угрозам (ТСПУ), фильтрующих сетевой трафик.

Эксперты отмечают потенциал ИИ для выявления запрещенного контента и способов обхода блокировок, но указывают на риски ложных срабатываний и снижения стабильности работы VPN и корпоративных сервисов.

✋ @Russian_OSINT

❗️ Масштабная вредоносная кампания wfx-loot крадёт секреты GitHub и облаков

10 ноября на GitHub началась масштабная вредоносная кампания, названная в Aikido Security wfx-loot, в ходе которой злоумышленник через украденные токены 4 837 аккаунтов внедрял скрипт-стилер в автосборку проектов. В Aikido подтвердили выгрузку учётных данных минимум из 1 835 репозиториев, в OX Security насчитали свыше 66 200 тестовых запросов на слияние, а в SafeDep нашли вредоносные коммиты в 8 093 публичных репозиториях.

Как пояснили в Aikido изданию Cybernews, пострадали пользователи из организаций Fortune 100 и участники с правом записи в репозитории Nextcloud, WebdriverIO, Управления общих служб США и госпрограммы Франции beta.gouv.fr.

Сам сервис GitHub Actions взломан не был, хватило рабочих токенов жертв. В StepSecurity и Aikido выделяют три шага атаки:

1️⃣ Атакующий проверяет доступ на запись тестовым запросом на слияние docs: dependency audit notes из ветки wfx-docs.
2️⃣ При успехе он внедряет вредоносный скрипт (около 1 500 строк) в сценарии сборки, файлы вроде update.sh или скрытый файл с запуском из postinstall в package.json. Код извлекает секреты из памяти Runner.Worker, ключи SSH, npm, PyPI и ИИ-сервисов (OpenAI, Anthropic, Gemini, Cursor, Copilot), через OIDC входит в облака и при наличии прав создаёт ключи IAM и открывает роли в AWS, а в Azure ставит привязку wfx-ci-* в обход смены ключей.
3️⃣ Обычно быстрее чем за минуту атакующий откатывает правки коммитом ci: restore и удаляет запуск сборки с логами, оставляя пропуск в номерах запусков.

Поначалу собранные архивы уходили напрямую на серверы злоумышленника, но утром 12 ноября новые копии стилера перешли на отправку данных через Telegram-ботов, из-за чего простая блокировка IP-адресов перестала помогать. Побочным эффектом атаки стало попадание скрипта в один PHP-пакет в каталоге Packagist и в файлы сценариев сборки двух Go-модулей.

Суть угрозы описал директор по ИБ Chainguard Куинси Кастро:

«Учётные данные — это и есть цепочка поставок. Ни один пакет, компонент Actions или реестр не был взломан в исходной точке»

— отметил Кастро.

✋ @Russian_OSINT